匿名加工・仮名加工

氏名も生年月日も、住所も削除した。それでも、誰の記録か分かってしまう。

匿名加工は、削れば安全になる作業ではありません。
削りすぎれば分析価値を失い、残しすぎれば再識別リスクが残る。
そして医療データでは、その判断のほとんどが自由記載欄の中にあります。

判断が要るのは、自由記載欄

匿名加工の作業量は、データ全体に均等に散らばってはいない。構造化データと非構造化データでは、必要な作業がまったく違う。

構造化データ

対象：患者ID、患者名、生年月日、住所など

性質：項目が決まっており、加工方法も決まっている

手法：削除、置換、一般化、トップボトムコーディング

工数：少

患者ID	患者名	生年月日	住所
00348271	山田　太郎	1998/10/11	◯◯県◯◯市 大通り1丁目1-1
00543545	佐々木　次郎	1962/03/07	◯◯県◯◯市 中央町3丁目3-10
00667788	近藤　三郎	1972/12/29	◯◯県◯◯市 大井町3丁目2758

加工すべき項目があらかじめ分かっているため、ロジック処理で定められた加工を適用すればよい。設計・実装が済めば、あとは一括で処理できる。

非構造化データ

対象：所見、看護記録、退院サマリなどの自由記載欄

性質：どこに何が書かれているか決まっていない

手法：検出と判断を、一件ずつ

工数：多

どこに何が書かれているかは書いた人によって変わる。検出したうえで、それが本当に加工すべきものかを一件ずつ判断することになる。

消すべきものが、どこに、どんな形で紛れているか。それは、実際の記載を見なければ分かりません。

※ 以下はすべて架空の記載例です。実在の患者・医療機関・施設とは関係ありません。

疾患名を消しても、酵素も、遺伝子も、薬剤も残ります。これだけの記載から患者に辿り着く経路は、ひとつではありません。

消すべきものは、名前だけではない

長文には文脈がある。文脈があるということは、直接書かれていない情報も読み取れるということです。

検出の難しさは対象ごとに異なり、AI・ロジックに任せられる度合いも違う。

1. ID・電話番号 — 検出はできる。誤検知が出る。

   書式が決まっているため、ロジック処理で機械的に拾える。問題は拾いすぎるほうにある。桁数の合う数値は検査値・投与量・日付としても本文に登場するため、パターン一致だけで確定させると本文が壊れる。AI・ロジック処理で候補を出し、目検で確定させる。

2. 氏名 — 人名辞書だけでは足りない。

   「橋本病」「川崎病」のように、人名を含む病名がある。これを氏名として消せば、疾患情報が黙って失われる。逆に外国人名は辞書に載らない綴りが多く、人名なのか病名なのか固有名詞なのか、その用語だけでは判断がつかない。消しすぎと消し漏れが、同じ辞書から同時に出る。

3. 施設名 — 難しいのは医療機関以外。

   医療機関名には「病院」「クリニック」「医院」といった手がかりがあり、判断しやすい。難しいのはそれ以外の固有施設名。温泉、店舗、学校、勤務先。これらは一律に削除対象と決められない。その名称から地域が特定できるかを調べたうえで、個別に判断する必要がある。

4. 希少疾患 — 疾患名を消しても足りない。

   患者数が極めて少ない疾患は、疾患名が残っているだけで再識別につながる。しかも消すべきは疾患名だけではない。その疾患でしか実施しない検査、その疾患にしか適応のない薬剤。いずれも疾患名を書かずに疾患を指す。一方で、通常疾患まで巻き込んで消せば分析価値が失われる。どこまでを希少とするかの線引きが要る。

短い記載ほど、判断がつかない

短文には前後の文脈がない。同じ略語が別の意味を持ちうるとき、その一文だけを見ても答えは出ない。

例① 「GBSのため入院」

GBS はB群溶血性連鎖球菌（Group B Streptococcus）の可能性が高い。ただし、希少疾患であるギラン・バレー症候群（Guillain-Barré Syndrome）の可能性も完全には否定できない。

判断: この一文だけでは決まらない。該当患者に投与されている薬剤、病名、検査情報をすべて確認したうえで判断する。

例② 「EDSのため入院」

EDS（エーラス・ダンロス症候群）は希少疾患に該当する。

判断: 該当患者のデータ全体を照合し、ESD（内視鏡的粘膜下層剥離術）の誤記載でないかを確かめたうえで判断する。

どちらも、その欄だけを読んでいては結論が出ません。判断の材料は、同じ患者の別のデータの中にあります。

AIが検出し、有資格者が判断する

H&H CONNECTの加工体制

自由記載欄の匿名加工は、検出と判断を分けて設計する。

書式の定まった記載はロジック処理が、そうでない記載はAIが候補を拾う。候補出しの段階で求められるのは、漏らさないこと。誤検知は許容し、拾いすぎる側に倒す。

判断は人が担う。この薬剤の適応症から希少疾患が特定できるのか、GBSがどちらを指すのか、この施設名から地域が絞れるのか——いずれも、その一件を見るだけでは決まらない。同じ患者の薬剤・病名・検査を突き合わせて、初めて結論が出る。

突き合わせて読むのは、臨床の記録を書いてきた側の知識を持つ医療有資格者。書かれていないことの意味も含めて読みます。

目的が決まらなければ、手法は決まらない

同じデータでも、外部に提供するのか、自組織内で分析するのかで、作れるものが変わる。先に決めるのは加工方法ではなく、使い道です。

詳細な要件は、目的と提供の形に応じて設計します。

匿名加工と仮名加工の使い分け

項目	匿名加工情報	仮名加工情報
定義	特定の個人を識別できない状態に加工	他の情報と照合しない限り個人を識別できない状態に加工
外部提供	可能	原則不可
データの有用性	低下しやすい	維持しやすい
主な用途	外部提供・データ利活用	自組織内での分析・研究
自由記載欄の扱い	疾患・検査・薬剤・施設名など、再識別につながる記述まで踏み込む	直接識別子が中心。ただし自由記載欄の扱いは内部利用でも検討が要る

こうした状態にあれば、ご相談ください

1. 構造化データの匿名加工はできたが、所見や看護記録の扱いが決まらない
2. 外部提供するのか自組織内で使うのかが決まらないまま、加工方法だけ先に議論している
3. 希少疾患を含むデータで、どこまで削れば安全と言えるのか判断できない
4. AIで自由記載欄を処理したが、検出漏れがないと言い切れない
5. 匿名加工した結果、分析に使えないデータになってしまった
6. 匿名加工の見積もりを取ったが、金額の根拠が読めない

トップページへ戻る お問い合わせ